本章範疇

• 電子欺騙與域名查詢
• 阻斷服務攻擊
• DNS 與防火牆整合
• 服務通告風險
• 動態 DDNS 安全性
• 郵件、Web、FTP 安全概要

本章旨在闡述安全議題與 DNS 服務的關聯，而非涵蓋所有連網安全細節。安全必須從設計階段著手，否往往只是事後拼湊的補丁。實際上，網絡安全由無數細微配置共同構成。

10.1 電子欺騙與域名查詢

DNS 電子欺騙指駭客竄改主機 IP 對應指向虛假主機。雖難完全成功，但最大危害在於破壞區域資料完整性、導向惡意主機。幸運的是此類攻擊相對容易偵測與修正。

偵測與修復工具

• nslookup、ping、traceroute 可驗證 IP 對應是否被竄改（特別注意非本域 IP）。
• 查詢其他授權伺服器比對結果；若攻擊發生較久，快取資料會自然過期。
• 使用 DNS 管理主控台進階模式或 DNSCMD.EXE 檢查區域資料；若問題在快取，可刷新快取或重啟服務強制重讀區域資料。
• 部署監視機制（效能計數器、網路異常流量）較直接檢查區域資料更易早期發現異常。
• DNSCMD.EXE 可定期比對區域傳輸資料與基準值。

防禦建議

• 反向查詢驗證： 確認 IP 反解是否指回同一主機，FTP/HTTP 伺服器常用此法。
• 專用 DNS 伺服器： 避免在多使用者、多互動服務的機器上運行 DNS；建議單一服務單一主機，嚴格限制遠端存取（僅允許加密私有通道）。
• 限制區域傳輸： 在 DNS 管理主控台「區域傳輸」頁籤選擇「僅允許下列伺服器」，列出合法 DNS IP，並啟用 Notify 機制。此舉不僅提升安全，也能改善效能。

10.2 阻斷服務攻擊

DoS 攻擊利用 TCP/IP 協定棧漏洞或主機資源有限性，透過大量異常封包癱瘓服務。若路由器或子網主機癱瘓，更可能為欺騙攻擊打開大門。

預防措施

• 維護最小化服務，僅啟用必要功能。
• DNS 伺服器可設定「拒絕遞迴查詢」，擴充處理能力並縮減代碼路徑。
• 主伺服器宜置於內部網或 DMZ，非公共空間，便於部署監控系統（如 DNS 服務屬性「監視」頁籤）週期性檢查服務狀態。

基於大量封包的攻擊特徵明顯，易於監控封堵；針對特定漏洞的單一/少量異常封包攻擊則較難偵測，需依賴作業系統層級防護與入侵偵測系統。